Entre establecer políticas, crear documentación y recopilar evidencias, una auditoría ISO 27001 suele requerir meses de preparación y una gran cantidad de papeleo. Aunque nuestra plataforma de automatización de cumplimiento está diseñada específicamente para resolver todo este esfuerzo manual, también sabemos que no hay sustituto para el consejo de un experto.

Para ayudar a las organizaciones a prepararse mejor para una certificación ISO 27001, entrevistamos a Héctor Galván, Auditor Principal en Prescient Security, para obtener sus mejores consejos de preparación.

¿Qué distingue a Prescient Security?

Prescient Security es una empresa independiente de auditoría y seguridad de primer nivel que atiende a empresas SaaS en todo el mundo. Ofrecemos a los clientes múltiples certificaciones y servicios de acreditación, incluidos SOC 1, 2 y 3; ISO; GDPR; CCPA; GLBA; Google Oauth; y Microsoft SSPA; así como servicios internos de pruebas de penetración. Hemos adoptado por completo la era de la auditoría digital, con experiencia en las últimas tecnologías nativas de la nube.

No somos la firma de auditoría tradicional de CPA donde los auditores provienen de antecedentes fiscales y financieros sin credenciales de seguridad. Venimos de equipos rojos y antecedentes de seguridad en la nube. Todos nuestros auditores están certificados en seguridad avanzada. El poder de un informe de auditoría radica en la calidad de las descripciones de prueba basadas en datos de evidencia más profundos. Cuando sus clientes revisan nuestro informe de auditoría, saben que la documentación está hecha por expertos en ciberseguridad.

¿Qué desearías que supieran los principiantes sobre las auditorías de certificación ISO?

Además de implementar procesos y controles para su sistema de gestión de seguridad de la información (SGSI), una parte importante de ISO trata sobre la documentación. Si revisa el estándar ISO 27001:2013, notará rápidamente que requiere muchos documentos y registros diferentes, e incluso enumera requisitos y directrices para cómo documentar esos elementos. Verifique siempre que cualquier documento que sea mantenido por su organización siga la versión y el control de documentos apropiados según lo especificado en el estándar.

¿Qué consejos tienes para las empresas que se están preparando para una auditoría ISO?

Primero identifique el alcance de su SGSI, luego complete una evaluación de riesgos, ya que eso sienta las bases para otros requisitos como la declaración de aplicabilidad y la auditoría interna. Una vez que tenga una vista clara de los riesgos y controles que ya tiene, puede enfocarse en mantener y mejorar continuamente su SGSI.

¿Qué mejores prácticas puede compartir para preparar la documentación clave de ISO?

Asegúrese de identificar primero el alcance de su SGSI, luego describa los riesgos y controles de su empresa. Hacer esto le ayudará a enfocarse en los procesos, documentos y registros que deben estar en su lugar para la auditoría.

Recuerde siempre que su empresa elige qué controles se incluyen en el alcance dentro de la declaración de aplicabilidad, y el auditor solo auditará aquellos que estén dentro del alcance. Además, asegúrese de documentar cualquier factor externo y requisitos legales y regulatorios que ya puedan afectar sus servicios y operaciones.

¿Qué tienen en común sus clientes más exitosos?

Nuestros clientes más exitosos están preparados desde el principio del proceso y siguen exactamente los requisitos estándar tal como están descritos. Tampoco se apresuran en la auditoría y siguen de cerca la norma ISO 27001, así como ISO 27002 como guía para mejorar su SGSI y el entorno de seguridad en general, en lugar de ver la certificación como una simple tarea a cumplir.

¿Qué últimas palabras de consejo, sugerencias y recomendaciones tiene para compartir?

ISO 27001 requiere mucha documentación. Siempre que su organización tenga procesos para implementar, retener y gestionar la documentación, debería estar bien.

Secureframe hace un excelente trabajo proporcionando plantillas de alta calidad y consultas de implementación para que pueda estar completamente preparado para su auditor. Solicite una demostración con ellos hoy para que podamos ayudarlo a alcanzar sus objetivos de cumplimiento rápidamente como un solo equipo.

Simplifique la preparación de auditoría ISO 27001 con Secureframe

ISO 27001 tiene cientos de requisitos, incluyendo una amplia documentación. Ayudamos a organizaciones de todos los tamaños a redactar políticas de seguridad, completar la capacitación de los empleados, recopilar evidencia y monitorear su postura de seguridad. Programe una demostración para ver cómo Secureframe puede agilizar su preparación para la auditoría ISO 27001.